1/4 Expediente Nº: E/01224/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades SHEIL y PAUL, S.L., y la TESORERIA GENERAL DE LA SEGURIDAD SOCIAL, en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de febrero de 2016, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que manifiesta que, el día 16 de febrero de 2016, presentó una denuncia ante la Comisaria de Policía en la que pone de manifiesto que ha recibido llamadas realizadas desde la línea B.B.B., que se identifica como personal de la Unidad de Recaudación Ejecutiva (URE) de la Seguridad Social de Talavera de la Reina, en relación con el embargo de un vehículo de su propiedad ofreciendo los servicios de una empresa de transporte para realizar el traslado del mismo. En la conversación solicita información relacionada con la notificación del embargo y le indican que se le remitirán por “WhatsApp” habiendo recibido el mensaje. El denunciante ha realizado búsquedas en Internet comprobando que el titular de la línea B.B.B. es una empresa de automóviles denominada SHEIL y PAUL, S.L., y manifiesta que la persona que se identificó como personal de la Seguridad Social es en realidad el administrador único de la citada compañía, por lo que considera que sus datos han sido cedidos sin su consentimiento. Que según el denunciante los hechos tuvieron lugar el 16 de febrero de
- Y, entre otra, anexa la siguiente documentación: Fotocopia de un terminal móvil en el que figura un mensaje de la línea B.B.B. con las imágenes de los datos de dirección postal del denunciante y una notificación de la Tesorería de la Seguridad Social. Impresión de pantalla donde figura el número de teléfono B.B.B. asociado a la compañía SHEIL y PAUL y datos registrales de la misma. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Desde la Inspección de Datos se ha verificado que la línea telefónica B.B.B. se encuentra asociada a la compañía SHEIL y PAUL S.L.
- Con fechas 23 de junio y 14 de octubre se remite solicitud de información a la compañía SHEIL y PAUL S.L., y del escrito de contestación se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 a. SHEIL y PAUL S.L. tienen suscrito un contrato administrativo especial con la Tesorería General de la Seguridad Social para la localización, retirada, transporte y depósito de bienes muebles, incluidos vehículos, embargados por las Unidades de Recaudación Ejecutivas adscritas a la Dirección Provincial de la Tesorería General de la Seguridad Social en Toledo, de fecha 9 de septiembre de 2014; prorrogado en fecha 15 de junio de 2015 y con vigencia hasta el 30 de septiembre de
- La compañía ha aportado certificado de la Tesorería General de la Seguridad Social respecto del mencionado contrato donde constan las cláusulas administrativas b. En virtud de este contrato, y con fecha 9 de febrero de 2016, la Tesorería General de la Seguridad Social remitió a la compañía un documento de “Solicitud de captura, depósito y precinto de vehículos embargados (*****)” al amparo del artículo 102.6 del Reglamento General de Recaudación de la Seguridad Social aprobado por el Real Decreto 1415/2004, de 11 de junio, en el que figura domo deudor el denunciante con los datos personales de nombre y apellidos, domicilio postal y NIF, entre otros. Este documento corresponde con el remitido al teléfono del denunciante mediante WhatsUp. Además remitió otro escrito denominado “Cédula de notificación de circunstancias que afectan al expediente ejecutivo en curso (TVA-801 y *****1)” en los que notifica en forma a la compañía la solicitud anteriormente descrita. (Dichos documentos han sido aportados por SHEIL y PAUL S.L.). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El Sr. Este A.A.A. denuncia la cesión inconsentida de sus datos desde la URE de la Seguridad Social de Talavera de la Reina a la entidad SHEIL Y PAUL, S.L. El artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “
- No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
- La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
- Una A.A.A. cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento.
- En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado constatado que existe formalizado contrato entre la Tesorería General de la Seguridad Social y la entidad SHEIL Y PAUL, S.L., en cuyo Pliego de Cláusulas Administrativas se recogen las exigencias establecidas por la normativa de protección de datos para el tipo de datos que van a ser objeto de tratamiento: medidas de seguridad, integridad de la información, confidencialidad… En el supuesto denunciado, SHEIL Y PAUL, S.L., tiene habilitación legal para la localización, retirada, transporte y depósito de bienes muebles, incluidos vehículos, embargados por las Unidades de Recaudación Ejecutivas adscritas a la Dirección Provincial de la Tesorería General de la Seguridad Social en Toledo. Con esa finalidad se realizó el tratamiento de los datos del denunciante. En consecuencia, no se ha producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos del denunciante por parte de SHEIL Y PAUL, S.L., en nombre y por cuenta de la Unidad de Recaudación Ejecutiva de la Seguridad Social de Talavera de la Reina. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SHEIL Y PAUL, S.L, y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 pública, una A.A.A. haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es